A maior plataforma de serviços digitais do Brasil chegou a um ponto em que os principais desafios deixaram de ser tecnológicos e passaram a ser de governança. Essa é a principal conclusão do Tribunal de Contas da União (TCU) ao julgar o Acórdão nº 2.019/2026-Plenário, resultado de uma ampla auditoria operacional sobre a Conta Gov.br, utilizada por cerca de 173 milhões de brasileiros para acessar mais de 4,6 mil serviços públicos digitais.
Embora a auditoria identifique vulnerabilidades técnicas relacionadas à biometria, autenticação e monitoramento, o eixo central do trabalho é outro: o modelo de governança da identidade digital brasileira precisa evoluir para acompanhar a crescente dependência do Estado em relação ao Gov.br. O Tribunal conclui que diversas fragilidades decorrem menos de limitações tecnológicas e mais da forma como políticas públicas, normas, gestão de riscos e responsabilidades institucionais vêm sendo conduzidas.
A Conta Gov.br deixou de ser apenas um mecanismo de autenticação e tornou-se a infraestrutura de identidade do Estado brasileiro. Ela concentra o acesso a serviços previdenciários, tributários, trabalhistas, de saúde, educação, segurança pública, assinatura eletrônica e dezenas de outras políticas públicas. Qualquer falha em sua governança passa a ter impacto potencial sobre praticamente toda a administração pública digital.
A auditoria mostra que a governança da plataforma apresenta elevado grau de maturidade em aspectos relacionados à política de gestão de identidade e ao controle de contas privilegiadas. Entretanto, identifica importantes lacunas justamente nos componentes que sustentam o funcionamento contínuo desse ecossistema, como gestão de riscos, monitoramento, revisão do ciclo de vida das identidades e definição uniforme dos níveis de segurança.
O Tribunal destaca que existe hoje uma desconexão entre normas, implementação técnica e gestão operacional. Na prática, as diretrizes estabelecidas pela Secretaria de Governo Digital (SGD), responsável pela formulação das políticas de identidade digital, nem sempre são reproduzidas de forma uniforme pelos órgãos que integram seus serviços ao Login Gov.br. Em muitos casos, segundo a auditoria, serviços considerados críticos permanecem acessíveis utilizando níveis mínimos de autenticação, sem que haja uma avaliação formal dos riscos envolvidos.
Essa constatação levou o TCU a expedir comunicação a todos os órgãos que utilizam a plataforma alertando que a definição dos níveis de segurança das contas sem avaliação prévia de risco pode representar descumprimento do dever de proteção de dados previsto na Lei Geral de Proteção de Dados (LGPD).
O relatório também identifica um problema de governança regulatória. Embora exista um conjunto de normas disciplinando os níveis Bronze, Prata e Ouro, os formulários utilizados pelos órgãos para integrar novos serviços utilizam terminologias diferentes das previstas na regulamentação oficial. Além disso, exemplos técnicos disponibilizados para integração apresentam inconsistências em relação às boas práticas internacionais de segurança. Para os auditores, essa fragmentação dificulta a correta implementação dos controles pelos gestores públicos e contribui para configurações inadequadas dos serviços.
Outro aspecto relevante é a ausência de uma metodologia padronizada para classificação de riscos. O TCU observa que a maior parte dos órgãos decide qual nível de autenticação exigir sem utilizar critérios objetivos e uniformes. Como consequência, aproximadamente 64% dos serviços digitais que exigem autenticação continuam aceitando apenas contas Bronze, enquanto somente uma pequena parcela exige autenticação reforçada.
Na avaliação do Tribunal, essa situação decorre, em grande parte, da tentativa de equilibrar segurança e inclusão digital. Gestores evitam elevar os requisitos de autenticação por receio de aumentar as dificuldades de acesso para cidadãos com baixa alfabetização digital, equipamentos antigos ou acesso precário à internet. O resultado é um modelo de governança que frequentemente prioriza a disponibilidade dos serviços em detrimento da segurança.
O acórdão reconhece explicitamente esse dilema. Diferentemente de auditorias tradicionais, o Tribunal não atribui as fragilidades exclusivamente à tecnologia. Ao contrário, identifica a exclusão digital como um dos principais fatores estruturantes dos riscos enfrentados pela plataforma. Segundo os ministros, a baixa habilidade digital da população leva ao compartilhamento de senhas, à baixa adesão à autenticação em duas etapas e à resistência ao uso de mecanismos mais robustos de proteção. Esse cenário acaba pressionando os gestores públicos a flexibilizar controles de segurança para evitar que milhões de usuários deixem de acessar serviços essenciais.
Por essa razão, o TCU amplia o debate sobre governança ao defender que políticas de inclusão digital passem a ser tratadas como componente da estratégia nacional de cibersegurança. A auditoria cita, inclusive, a necessidade de articulação com o Plano Nacional de Inclusão Digital (PNID), ressaltando que campanhas educativas isoladas não são suficientes para reduzir a vulnerabilidade da população diante de golpes de engenharia social.
Outra frente importante diz respeito ao modelo de confiança adotado pela própria Conta Gov.br. O Tribunal considera inadequado que contas classificadas como Ouro, destinadas ao acesso a serviços mais sensíveis, possam permanecer válidas indefinidamente sem qualquer revalidação periódica da identidade do usuário. A recomendação é que a Secretaria de Governo Digital estabeleça ciclos regulares de revisão dessas credenciais, aproximando a plataforma das práticas internacionais de gestão de identidade digital.
Também recebe atenção especial a governança do monitoramento da plataforma. A auditoria conclui que, embora existam mecanismos de autenticação relativamente maduros, ainda são incipientes os processos de detecção contínua de comportamentos suspeitos. A nota atribuída ao grupo de controles relacionado ao monitoramento foi uma das mais baixas de toda a auditoria. O TCU recomenda que a Secretaria de Governo Digital desenvolva mecanismos técnicos capazes de identificar anomalias em tempo real e estabeleça de forma clara as responsabilidades entre a administração central da plataforma e os órgãos que utilizam o Login Gov.br.
Nesse ponto, o Tribunal sinaliza uma mudança importante de paradigma. A preocupação deixa de estar concentrada apenas na autenticação inicial do usuário e passa a abranger todo o ciclo de vida da identidade digital, incluindo monitoramento permanente, análise comportamental, rastreabilidade e resposta rápida a incidentes.
A distribuição de responsabilidades institucionais também aparece de forma mais clara no julgamento. O acórdão diferencia o papel da Secretaria de Governo Digital, responsável pela governança, regulamentação e definição das políticas de identidade digital, do Serpro, encarregado da infraestrutura tecnológica que sustenta a plataforma. Essa separação reforça que parte significativa dos problemas identificados não decorre da operação tecnológica em si, mas da necessidade de aperfeiçoar regras, processos decisórios, gestão de riscos e mecanismos de coordenação entre os diversos órgãos participantes do ecossistema Gov.br.
O único ponto em que o colegiado decidiu aprofundar as investigações diz respeito às contas vinculadas a pessoas falecidas. Embora a unidade técnica tenha identificado falhas de sincronização entre bases cadastrais e proposto medidas imediatas, o relator, ministro Odair Cunha, entendeu que o tema exige análise mais aprofundada. O entendimento foi acompanhado pelo Plenário, inclusive com declaração de voto do ministro Bruno Dantas, que destacou que o bloqueio automático dessas contas poderia inviabilizar procedimentos sucessórios, inventários, regularizações tributárias e outros atos legais que ainda dependem do CPF do falecido.
